Binance sufrió el jueves lo que los investigadores describen como el mayor robo de criptoactivos hasta la fecha. Empresas de análisis de blockchain estiman que se sustrajeron más de 6.000 millones de dólares. El exchange afirmó que se vieron afectados activos por unos 5.000 millones y que está obteniendo otros 1.300 millones a través de operaciones en el mercado y extrabursátiles para cubrir las pérdidas. El incidente ha puesto bajo escrutinio las salvaguardas de los activos y los planes para restablecer las retiradas, además de plantear dudas sobre la seguridad de las carteras calientes y los sistemas de aprobación de transacciones en plataformas centralizadas que custodian grandes cantidades de fondos de clientes.
La investigación sitúa los preparativos al menos 36 horas antes
La investigación preliminar de Binance apunta a que el ataque pudo implicar la vulneración del portátil de un ingeniero de DevOps y el acceso no autorizado a un contenedor de servicios. El exchange afirmó que no había encontrado indicios de que se expusieran claves privadas. Richard Teng, codirector ejecutivo de Binance, señaló que el ataque fue más complejo que el robo de las credenciales de un empleado.
TRM Labs indicó que los atacantes empezaron a prepararse al menos 36 horas antes. Financiaron carteras operativas con pequeñas retiradas de Tornado Cash y después desplegaron y probaron código malicioso relacionado con tres carteras. Durante el ataque, aprovecharon EIP-7702 de Ethereum para convertir una cartera caliente de Binance en un instrumento con el que concentrar fondos bajo su control. Antes de ejecutar la operación habían preparado 50 autorizaciones de firma para que al menos una siguiera siendo válida en el momento del ataque.
Los atacantes coordinaron además transferencias en otras nueve redes blockchain. TRM señaló que la actividad entre cadenas podría indicar que el acceso no se limitó a una sola cartera, sino que alcanzó una parte más amplia de la infraestructura de firma de las carteras calientes de Binance. Elliptic afirmó que los atacantes quizá conservaron el acceso tras la primera intrusión: utilizaron permisos de propietario en una cartera comprometida para retirar fondos de otra cartera de Binance y siguieron moviendo activos depositados posteriormente. Otra cartera caliente de Ethereum envió directamente a los atacantes activos por valor de 174 millones de dólares, lo que ha intensificado las preguntas sobre el alcance del acceso a los sistemas de firma de transacciones del exchange.
El acceso a la aprobación de transacciones, en el centro del análisis
La complejidad del ataque quizá no residiera en el código ejecutado en la cadena, afirmó Simone Imbrescia, vicepresidenta de Immunefi. El contrato utilizado para reunir los fondos tenía unas 130 líneas de código, explicó. El aspecto clave fue cómo consiguieron los atacantes acceder a una infraestructura capaz de aprobar transacciones, lo que permitió causar pérdidas cuantiosas con un código relativamente sencillo.
Chainalysis, Elliptic y TRM atribuyeron el ataque a un grupo de hackers norcoreano. TRM dijo que la actividad estaba vinculada al grupo implicado en el ataque a Bybit de 2025, en el que se sustrajeron alrededor de 1.500 millones de dólares. Chainalysis identificó una conexión en la cadena entre los fondos robados a Binance y los ingresos del incidente de Bitget del mes pasado, también atribuido a hackers norcoreanos. Elliptic advirtió que el solapamiento abarcaba solo una pequeña parte del robo a Binance y no bastaba para demostrar que los dos incidentes fueran obra de los mismos atacantes.
Los investigadores detectaron también miles de transacciones iniciadas en un breve periodo, con fondos que pasaban repetidamente de unas direcciones a otras. Para reducir la posibilidad de que los emisores de stablecoins congelaran los activos, los atacantes convirtieron 325 millones de dólares en stablecoins en unos 285 millones de dólares en ETH durante casi 20 minutos.
Los fondos robados llegaron a Aave y algunas operaciones se cerraron con descuento
Elliptic indicó que los atacantes depositaron en Aave 59,9 millones de dólares en USDT robados como garantía y pidieron prestados 19.762 ETH. En la última actualización de la firma de análisis, el préstamo seguía pendiente y se acercaba a la liquidación. Los atacantes también recurrieron a exchanges descentralizados y creadores de mercado para convertir cientos de millones de dólares en USDT en ETH. Algunas operaciones se realizaron con descuentos de hasta aproximadamente el 26% frente al precio de mercado, mientras trasladaban los fondos a activos que los emisores no pueden congelar.
Aave anunció el viernes que había levantado la congelación en todos los mercados de sus protocolos V3 y V4. La compañía afirmó que sus contratos inteligentes no se habían visto afectados y que las posiciones de los usuarios seguían suficientemente respaldadas. El incidente de Binance se refiere al acceso a los sistemas de firma de la plataforma; la posible afectación de los contratos de Aave es una cuestión distinta. El comunicado de Aave se refirió al estado de sus protocolos y a las posiciones de sus usuarios.
Binance busca 1.300 millones y prevé actualizar su prueba de reservas
Binance afirmó que los activos afectados ascendían a unos 5.000 millones de dólares y que estaba obteniendo otros 1.300 millones mediante operaciones en el mercado y extrabursátiles para cubrir las pérdidas. Teng dijo que el exchange tenía previsto publicar el lunes un informe inicial de prueba de reservas y que trabajaba para restablecer las retiradas. En un vídeo publicado el viernes, señaló que Binance esperaba que los usuarios pudieran retirar fondos antes del plazo del domingo y que, en ese momento, su objetivo era restablecer las medidas correspondientes en unas 40 horas.
Los analistas de TD Cowen afirmaron que las pruebas disponibles apuntan a una intrusión en la infraestructura de un intermediario centralizado, no a un fallo de Bitcoin ni de su red subyacente. Las cuestiones inmediatas son cómo gestionará Binance los activos afectados, cuándo restablecerá las retiradas y qué detalles ofrecerá sobre sus reservas. Los investigadores aún no han determinado cómo entraron los atacantes en los sistemas internos, si el proceso de firma se vio afectado de forma generalizada ni si será posible recuperar los fondos sustraídos.
Imbrescia señaló que la seguridad en el sector cripto no puede centrarse únicamente en la custodia de claves privadas y las auditorías de contratos inteligentes: las personas, la infraestructura y los procesos operativos capaces de utilizar esas claves también forman parte del perímetro de seguridad. Un atacante que controle esa capa operativa quizá no necesite robar directamente las claves privadas ni explotar una vulnerabilidad compleja en un contrato. Para los usuarios de Binance, los próximos datos relevantes son el calendario para restablecer las retiradas, el informe de prueba de reservas y la cobertura de las pérdidas.